Para configurar qualquer tipo de VPN, você precisa configurar um servidor master. Após configurar o servidor master, execute as tarefas de configuração adicionais com base em se deseja configurar uma VPN de acesso direto entre sites ou uma VPN de acesso a clientes diretamente de sites. Esta seção contém o seguinte procedimento:
NOTA: Use o utilitário VPNCFG para configurar o servidor master e o servidor slave e gerar as informações criptográficas.
Uma VPN só pode ter um servidor master. O servidor master é o ponto de controle central para a configuração e o gerenciamento da VPN. Além disso, um servidor (master ou slave) só pode ser membro de uma única VPN.
Para configurar o servidor master VPN, execute os seguintes passos:
No prompt do console do servidor, digite:
LOAD VPNCFG
Se esse servidor for o primeiro na Árvore do NDS ou eDirectory a ser configurado como um servidor VPN, você será solicitado a conectar-se à árvore. São necessários os direitos administrativos para o diretório raiz a fim de estender o esquema do NDS ou eDirectory e definir os atributos da VPN.
Selecione Configuração do Servidor Master.
Configure os endereços IP do servidor master.
O servidor master VPN utiliza dois endereços IP: um endereço público para se comunicar com a Internet e um endereço de túnel da VPN para trocar informações criptografadas com outros membros da VPN.
Selecione Configurar Endereços IP.
Digite o endereço IP público.
Se o servidor VPN estiver conectado diretamente com a Internet, o endereço IP público será o endereço atribuído pelo provedor Internet.
Digite a máscara de sub-rede do endereço IP público.
Digite o endereço IP do túnel da VPN.
Esse endereço é associado ao túnel da VPN através do qual as informações criptografadas são passadas. Ele não precisa ser registrado.
IMPORTANTE: O endereço IP do túnel da VPN de todos os servidores VPN precisa estar na mesma sub-rede. O endereço IP do túnel da VPN é um endereço privado escolhido arbitrariamente. O escopo desse endereço limita-se ao link do túnel da VPN. Esse endereço não precisa ser utilizado como o endereço IP de origem ou destino dos pacotes de dados. Utilize o comando PING nesse endereço para verificar a conectividade direta através do túnel da VPN.
Digite a máscara de sub-rede do endereço IP do túnel da VPN.
Pressione Esc > selecione Sim quando for solicitado a gravar as mudanças.
Gere as informações criptográficas do servidor master.
Selecione Gerar Informações de Criptografia.
Digite até 255 caracteres para a alimentação aleatória.
Não é necessário registrar esse valor. O software usa esse valor para ajudar a tornar aleatórios os códigos público e privado RSA (Rivest Shamir Adleman) e os valores público e privado Diffie-Hellman do servidor master que ele gera.
Copie o arquivo de informações criptográficas do servidor master (MINFO.VPN) para um disquete ou grave-o em um disco rígido local.
Forneça ao administrador da rede o arquivo MINFO.VPN de cada servidor slave a ser adicionado à VPN.
Você pode enviar o disquete contendo o arquivo por correio ou como um arquivo anexado a um E-mail. Não há perigo de comprometimento da segurança se o arquivo for interceptado, pois ele só contém informações públicas. Qualquer alteração no arquivo pode ser detectada através da verificação da síntese de mensagens durante a configuração do servidor slave.
Pressione Esc até sair do VPNCFG.
Esta seção explica as tarefas básicas a serem executadas para configurar uma VPN de acesso direto entre sites. Esta seção contém os seguintes procedimentos:
Para configurar um servidor slave para a sua VPN, execute os seguintes passos: Verifique se você tem o arquivo MINFO.VPN do administrador do servidor master.
No prompt do console do servidor, digite:
LOAD VPNCFG
Selecione Configuração do servidor slave.
Configure os endereços IP do servidor slave.
Assim como o servidor master, um servidor slave VPN utiliza dois endereços IP: um endereço público para se comunicar com a Internet e um endereço de túnel da VPN para trocar informações criptografadas com outros membros da VPN.
Selecione Configurar Endereços IP.
Digite o endereço IP público.
Se o servidor VPN estiver conectado diretamente com a Internet, o endereço IP público será o endereço atribuído pelo provedor Internet.
Digite a máscara de sub-rede do endereço IP público.
Digite o endereço IP do túnel da VPN.
Esse endereço é associado ao túnel da VPN através do qual as informações criptografadas são passadas. Ele não precisa ser registrado.
IMPORTANTE: O endereço IP do túnel da VPN de todos os servidores VPN precisa estar na mesma sub-rede.
Digite a máscara de sub-rede do endereço IP do túnel da VPN.
Pressione Esc e selecione Yes (Sim) quando for solicitado a gravar as mudanças.
Gere as informações criptográficas do servidor slave.
Selecione Gerar Informações de Criptografia.
Digite a localização do arquivo de informações criptográficas do servidor master (MINFO.VPN).
Entre em contato com o administrador do servidor master e verifique se você tem os mesmos valores na síntese de mensagens.
Os mesmos valores nas sínteses de mensagens garantem a autenticidade do arquivo MINFO.VPN.
IMPORTANTE: Se os valores nas sínteses de mensagens não corresponderem, não será possível criar o túnel criptografado entre os servidores master e slave. Nesse caso, o administrador do servidor master deverá fornecer um novo arquivo MINFO.VPN.
Peça ao administrador do servidor master que selecione Autenticar Informações de Criptografia para autenticar o arquivo MINFO.VPN.
Para autenticar esse arquivo, o administrador deve carregar o NIASCFG e selecionar o seguinte caminho de menu:
Configuração do Servidor Master > Autenticar Informações de Criptografia
Se os valores nas sínteses de mensagens corresponderem, digite até 255 caracteres para a alimentação aleatória.
Não é necessário registrar esse valor. O software utiliza esse valor para ajudar a tornar aleatórios os valores público e privado Diffie-Hellman gerados para o servidor slave.
Copie o arquivo de informações criptográficas do servidor slave (SINFO.VPN) para um disquete ou grave-o em um disco rígido local.
Selecione Copiar Informações de Criptografia.
Digite o caminho ou o nome do arquivo no qual deseja gravar as informações criptográficas do servidor slave. O padrão é A:\SINFO.VPN.
SUGESTÃO: Renomeie o arquivo SINFO.VPN com um nome como SINFO_S1.VPN. Essa ação permite que o administrador do servidor master reúna todos os arquivos de informações criptográficas de servidores slave em um único diretório sem sobregravá-los. Você também pode utilizar um nome de servidor ou local quando renomear o arquivo SINFO.VPN.
Forneça o arquivo de informações criptográficas do servidor slave ao administrador do servidor master.
Você pode enviar o disquete contendo o arquivo por correio ou como um arquivo anexado a um E-mail. Não há perigo de comprometimento da segurança se o arquivo for interceptado, pois ele não pode ser interpretado sem os códigos público e privado RSA e os valores público e privado Diffie-Hellman do servidor master.
Pressione Esc até sair do VPNCFG.
IMPORTANTE: Para que o servidor slave possa se comunicar com os outros membros da VPN, você precisa executar o procedimento descrito em Configurar a VPN.
Antes que possa adicionar um servidor à VPN, você precisa usar o utilitário VPNCFG para fazer o seguinte:
Depois que você executar os procedimentos do VPNCFG, o servidor master será adicionado automaticamente à VPN. Use o utilitário Administrador do NetWare para adicionar um servidor a uma VPN e sincronizar os servidores VPN.
Para adicionar um servidor slave à VPN, execute os seguintes passos:
No Administrador do NetWare, clique duas vezes no servidor master VPN e selecione a página Configuração do Novell BorderManager 3.7.
Clique na guia VPN.
Clique duas vezes em Acesso Direto entre Sites Master no item Habilitar Serviço.
Clique em Adicionar.
Localize o arquivo de informações criptográficas do servidor a ser adicionado e clique em Abrir.
O arquivo de informações criptográficas é gerado durante o procedimento descrito em Configurar a VPN. O nome padrão do arquivo é SINFO.VPN. O Administrador do NetWare lê o arquivo e mostra uma síntese de mensagens de 16 bytes.
Contate o administrador do servidor slave VPN e peça a ele que selecione Autenticar informações criptográficas para autenticar o arquivo SINFO.VPN.
Para autenticar esse arquivo, o administrador deve carregar o NIASCFG e selecionar o seguinte caminho de menu:
Configuração do servidor slave > Autenticar informações criptográficas
Compare o valor da síntese de mensagens com aquele gerado no console do servidor slave.
Se as sínteses forem iguais, clique em Yes (Sim); caso contrário, clique em No (Não).
Valores de sínteses diferentes indicam que os dados foram falsificados ou corrompidos.
Clique em Status.
Clique em Sincronizar Todos e clique em OK.
Execute esse procedimento para cada servidor slave a ser adicionado como um membro da VPN.
Quando você sincroniza servidores em uma VPN, o servidor master VPN atualiza todos os servidores slave da VPN com as chaves criptográficas e a topologia da VPN atuais. O status de sincronização de um servidor pode assumir um dos seguintes estados:
A topologia e as informações criptográficas mais recentes foram atualizadas no servidor. Ele não indica se as conexões através do túnel da VPN do servidor estão ativadas. Utilize a tela Atividade para determinar o status das conexões através do túnel da VPN.
O servidor ainda precisa receber a topologia e as informações criptográficas atuais do servidor master.
O servidor está sendo removido da VPN.
NOTA: Qualquer estado de servidor que permaneça como Sendo Configurado ou Sendo Removido por um longo período de tempo indica um problema na capacidade do servidor master de se comunicar com esse membro da VPN. Para obter mais informações, consulte a documentação online da VPN.
Para sincronizar os membros de uma VPN:
No Administrador do NetWare, clique duas vezes no servidor master VPN e selecione a página Configuração do Novell BorderManager 3.7.
Clique na guia VPN.
Clique duas vezes em Acesso Direto entre Sites Master no item Habilitar Serviço.
Clique em Status.
A janela Status da Sincronização mostra cada membro da VPN, seu endereço IP e seu status de atualização.
Para sincronizar todos os servidores na VPN, clique em Sincronizar Todos.
Ou
Para sincronizar apenas um servidor da VPN, selecione o nome do servidor e clique em Sincronizar Selecionados.
Existem várias formas diferentes de criar uma VPN de acesso direto entre sites. Dependendo da configuração necessária, você precisará executar várias tarefas de configuração diferentes. Os seguintes exemplos detalhados estão disponíveis na documentação online da VPN:
NOTA: Para configurar corretamente uma VPN para uma configuração específica, é essencial que você consulte os exemplos da documentação online da VPN. Os exemplos contêm procedimentos necessários para uma configuração específica mas não estão incluídos nos procedimentos básicos fornecidos nesta publicação.
Esta seção explica as tarefas necessárias para configurar uma VPN de acesso a clientes diretamente de sites e fazer uma conexão de cliente para site. Esta seção contém o seguinte procedimento:
Para configurar um servidor VPN para suportar clientes VPN:
Configure um servidor NetWare com o software VPN.
No Administrador do NetWare, clique duas vezes no servidor VPN que você deseja que suporte os clientes e selecione a página Configuração do Novell BorderManager 3.7.
Clique na guia VPN.
Clique duas vezes em Acesso a Cliente diretamente de Sites no item Habilitar Serviço.
(Opcional) Configure o parâmetro Fim da Inatividade, se for necessário.
Para habilitar a criptografia de dados IPX para os clientes VPN, você precisa definir o Endereço de Rede IPX do Cliente WAN como o endereço de rede IPX que os clientes VPN usarão para acessar esse servidor.
Esse endereço precisa ser único e não precisa corresponder ao endereço de rede do servidor ou ao endereço de rede de qualquer adaptador LAN do servidor. Se o cliente discar diretamente para o servidor VPN usando o software de acesso remoto, o endereço de rede IPX configurado para o acesso remoto será mostrado automaticamente. Se você mudar o endereço nesse campo, o novo endereço será atualizado no software de acesso remoto.
IMPORTANTE: Quando o suporte de IPX é habilitado para o cliente VPN em estações de trabalho Windows 95 e Windows 98, a conexão IPX LAN do cliente é desabilitada depois que a conexão VPN IPX é estabelecida. Isso também ocorre quando o cliente não é um cliente VPN e você usa a Rede Discada com o IPX habilitado.
(Opcional) Para que os clientes VPN não negociem os métodos de criptografia e autenticação de dados da conexão com o servidor VPN, selecione Restringir Clientes a Usarem Segurança Preferencial de Servidor.
Para configurar a segurança preferida do servidor, selecione Detalhes em Acesso Direto entre Sites Master ou Acesso Direto entre Sites Slave.
(Opcional) Para especificar um número limitado de redes com as quais os clientes VPN podem se comunicar de forma segura utilizando a criptografia, configure uma lista de redes protegidas.
Para adicionar uma rede à lista, selecione Criptografar Somente as Redes Listadas Abaixo > clique em Adicionar. Selecione o endereço da rede e a máscara da sub-rede > clique em OK.
Esse passo é opcional, pois, por padrão, o cliente criptografa os dados para e de todas as redes. Ao especificar uma lista de redes protegidas, você habilita o cliente VPN a enviar o tráfego IP descriptografado para a Internet e criptografar apenas o tráfego da intranet.
Se você tem uma rede apenas IPX e não quer criptografar o tráfego IP, selecione Não Criptografar Pacotes IP.
(Opcional) Clique em Síntese para ver a síntese das informações de configuração do servidor VPN.
Essa síntese é usada para autenticar as informações enviadas para o cliente VPN durante a tentativa de se conectar ao servidor VPN.
Clique em OK > selecione Regras de Acesso do Novell BorderManager 3.7.
Para configurar os usuários, grupos ou recipientes do NDS ou eDirectory habilitados para usar esse servidor VPN, execute os seguintes passos:
Clique em Adicionar.
Selecione Cliente VPN como o tipo de acesso.
Em Origem, selecione Especificado > clique em Procurar.
Clique em Adicionar.
Selecione um usuário, grupo ou recipiente na lista de objetos na Árvore do NDS ou eDirectory e clique em OK.
Repita os passos para cada objeto adicional, conforme exigido.
Clique em OK até retornar à página da VPN.
Se necessário, configure regras de autenticação e métodos de acesso.
Os clientes VPN podem usar dispositivos de segurança como os símbolos de hardware além da senha do NDS ou eDirectory para se autenticar no servidor VPN. Se existir um objeto Diretiva de Login na Árvore do NDS ou eDirectory, ele será associado a todos os servidores VPN versão 3.7 na árvore e autenticará os usuários da VPN através de regras de autenticação e métodos de acesso definidos no objeto.
Se você tiver um objeto Diretiva de Login na árvore, somente os usuários com uma regra definida para o método de autenticação poderão se conectar com o servidor VPN.
Se os usuários estiverem acessando o servidor VPN utilizando o software de acesso remoto, configure as contas de acesso remoto para os usuários como descrito em Configurar VPNs (Virtual Private Networks).
Forneça as seguintes informações aos usuários VPN por e-mail ou telefone:
Para instalar um cliente de discagem VPN em uma estação de trabalho Windows 98, Windows 2000, Windows XP, Windows Me ou Windows NT
Se você estiver usando um cliente de discagem, verifique se a estação de trabalho tem um modem instalado e configurado.
Insira o CD-ROM do cliente VPN e inicie o programa de instalação.
Siga as instruções online do programa de instalação. Insira o CD do Windows 98, Windows 2000, Windows XP, Windows ME ou Windows NT que contém o software Novell Client fornecido com o Novell BorderManager 3.70quando solicitado a fazê-lo.
Reinicialize a estação de trabalho quando solicitado.
Se a instalação for bem-sucedida, o adaptador VPN da Novell aparecerá no item Rede do Painel de controle do Windows 98, Windows 2000, Windows XP, Windows Me ou Windows NT. Para os sistemas Windows NT, o VPN Client do Novell BorderManager 3.7 é mostrado em Serviços em Painel de controle, Rede.
Uma entrada de discagem padrão chamada Novell VPN é criada automaticamente para o cliente VPN durante a instalação. Essa entrada de discagem pode ser usada para se conectar com o provedor Internet inicializando o software Login na VPN. Use a caixa de diálogo Login na VPN para configurar vários parâmetros antes de se conectar com o provedor Internet. Esses parâmetros incluem as propriedades de discagem, o local de discagem, o tipo de modem usado e o telefone, que pode ser digitado ou selecionado na lista de uma agenda de telefones. Se você não deseja usar a entrada de discagem padrão, crie uma nova entrada usando a Rede Dial-Up da Microsoft.
Para criar e configurar uma nova entrada de discagem em uma estação de trabalho Windows 98, Windows 2000, Windows XP, Windows Me ou Windows NT:
Crie uma nova entrada de discagem.
Para clientes Windows 98, Windows 2000, Windows XP e Windows Me, configure o tipo de servidor para a entrada de discagem. Para clientes Windows NT, não mude a configuração padrão.
Use Login na VPN via Discagem se você deseja usar a entrada da Rede Dial-Up da Microsoft para se conectar com o provedor Internet.
Use Login na VPN via LAN se você já está conectado com o provedor Internet através de um modem de cabo, um dispositivo ADSL, uma conexão LAN ou uma conexão discada estabelecida.
Para efetuar login a partir de um cliente VPN, execute os seguintes passos:
Inicie o login na VPN de uma das três formas a seguir e aguarde até a caixa de diálogo Login na VPN da Novell aparecer:
Selecione a guia Login do NetWare na caixa de diálogo Login na VPN da Novell e forneça as seguintes informações:
O endereço IP pode ser seguido por um espaço e uma descrição.
Essa senha é necessária somente se você configurou o objeto Diretiva de Login com regras que exigem que os clientes VPN usem um dispositivo de segurança como um token de hardware além da senha do NDS ou eDirectory. Consulte a documentação online dos Serviços de Autenticação para obter mais informações sobre como criar a senha token e configurar regras de autenticação.
Após a autenticação bem-sucedida do cliente, essas informações (exceto a senha) são gravadas pelo cliente VPN no registro da estação de trabalho e serão apresentadas ao usuário na próxima vez que o cliente VPN for ativado. As cinco entradas usadas mais recentemente para o nome e o endereço IP são gravadas e mostradas.
Para conexões discadas, selecione a guia Discagem e selecione uma entrada de discagem da VPN na lista de entradas configuradas.
(Opcional) Digite o nome de usuário e a senha de discagem se você não se conectou utilizando essa entrada de discagem antes ou se a senha não foi gravada.
Para configurar o telefone e outras propriedades de discagem, selecione Configurações. Você pode substituir o telefone e a senha de discagem configurados na entrada de discagem selecionando ou digitando novos valores.
(Opcional) Se o provedor Internet estiver usando o recurso proxy RADIUS para autenticar usuários, clique em Usar nome NetWare e configure o Domínio RADIUS como o nome usado pelo provedor Internet para identificar o domínio que contém o usuário quando ele agir como um proxy de solicitação de autenticação.
O nome usado para a autenticação de discagem é o nome de usuário e o contexto do NetWare seguidos pelo domínio RADIUS digitado. Por exemplo, se o nome de usuário é User1, o contexto é Engineering.ACME e o domínio RADIUS é acme.com, o nome usado para a autenticação de discagem será .User1.Engineering.ACME@acme.com.
Selecione a guia Opções do NetWare e selecione as seguintes opções:
NOTA: Se você configurou o software Novell Client para usar o CMD (Compatibility Mode Driver), pode usá-lo para acessar os serviços IPX através da VPN, em vez de habilitar o IPX.
Selecione a guia Disparador para especificar um aplicativo que seja iniciado após o estabelecimento do túnel criptografado com o servidor VPN.
Clique em OK para se conectar com o servidor VPN.
Se você for solicitado a comparar o resumo das informações de autenticação com as informações que o administrador distribuiu, clique em OK se os valores forem correspondentes.
Essa solicitação é mostrada somente se você estiver se conectando com esse servidor VPN dessa estação de trabalho pela primeira vez ou se o servidor VPN gerou as próprias chaves novamente.
(Opcional) Clique na guia Status da VPN para ver o andamento da conexão VPN.
Após o estabelecimento da conexão, aparece um ícone Cliente VPN na barra de tarefas. Clique duas vezes no ícone para acessar as estatísticas do cliente VPN para essa sessão. Para obter mais informações sobre estatísticas de clientes VPN, consulte a documentação online da VPN.
Para interromper a conexão da VPN, clique duas vezes no ícone Estatísticas da VPN e clique em Desconectar.
Nos sistemas Windows NT, não interrompa a sessão desconectando a conexão discada através do Monitor de Discagem. Você precisa interromper a conexão da VPN na tela Estatísticas da VPN.
Existem várias formas diferentes de criar uma VPN de acesso a clientes diretamente de sites. Dependendo da configuração necessária, você precisará executar várias tarefas de configuração diferentes. Os seguintes exemplos detalhados estão disponíveis na documentação online da VPN:
NOTA: Para configurar corretamente uma VPN para uma configuração específica, é essencial que você consulte os exemplos da documentação online da VPN. Os exemplos contêm procedimentos necessários para uma configuração específica mas não estão incluídos nos procedimentos básicos fornecidos nesta publicação.